2026-08-01（土）AWS基礎＋IAM（権限管理）

本日のハンズオン実習、大変お疲れ様です！ AWSアカウントの作成直後は、セキュリティとコストのガバナンスを確立するための「最も重要な最初の一歩」となります [p.176]。 実習の作業前に、5分間で本質的な考え方と設定の意義を理解するためのチェックレジュメを整理しました。

1. 【このハンズオンで使うAWSサービスと役割】

• AWSアカウント（ルートユーザー） [p.176]:
  • 役割: サインアップ時に登録したメールアドレスでログインする、アカウント内のすべてのAWSサービスやリソースに対して制限なしに完全な操作を実行できる「全能の管理者アカウント」です [p.176]。
• AWS IAM（Identity and Access Management） [p.181]:
  • 役割: 認証（MFA設定など）およびユーザーの権限を安全に管理・統制するためのベースとなるセキュリティサービスです [p.176, p.181]。
• Amazon CloudWatch（請求アラート監視） [p.245, p.258]:
  • 役割: システムのパフォーマンスを監視するだけでなく、アカウント全体の「請求額（コスト）」の推移を監視し、あらかじめ設定した金額（閾値）を突破した際に管理者へ即時に通知を送るアラートコントロールを担います [p.245]。

2. 【操作前に知っておくべき設定項目】

• ルートユーザーのログイン認証情報: サインアップに使用するメールアドレスと、推測されにくい強力なパスワード [p.176]。
• 多要素認証（MFA: Multi-Factor Authentication）: パスワードに加えて、スマートフォンアプリ（Google Authenticatorなど）に表示される一時的なワンタイムコードの入力を追加で義務付ける2段階認証設定 [p.176]。
• CloudWatch 請求アラーム（Billing Alarm）の設定値: 「月間の予想請求額が◯ドルを超えたら通知する」という監視条件（閾値）と、通知先となる管理者のメールアドレス [p.245]。※請求監視メトリクスは、グローバル仕様として「バージニア北部（us-east-1）リージョン」でのみ有効化・蓄積されます。

3. 【よくある詰まりポイント・注意点】

• 注意点①：なぜルートユーザーをMFAで超厳重に保護し、「普段使い」してはならないのか？
  • 考え方の本質: ルートユーザーは全権限を持つため、万が一パスワードが漏洩したりアカウントが乗っ取られたりした場合、攻撃者によって高スペックな仮想サーバーを大量に乱立され、数日で数百万〜数千万円規模の不正請求に繋がる重大なセキュリティ事故に直結します [p.176]。
  • 対策: サインアップが完了したら、真っ先にMFA（多要素認証）を有効化して物理デバイスでカギを二重ロックします [p.176]。その後、速やかに最小限の必要な権限のみを与えた「IAMユーザー」または「IAMロール」を別に作成し、日常の設計やハンズオン操作はルートユーザーを完全に封印して、それらの作業用アカウントで行うのが鉄則です [p.176, p.177, p.184]。
• 注意点②：なぜ「請求アラート」を一番最初のタイミングで設定するのか？
  • 考え方の本質: AWSには便利な「無料利用枠」が多数用意されていますが、ハンズオンの消し忘れ（例：起動したまま放置したEC2インスタンス）や、設定の誤り（例：無料枠対象外の高性能なEBSプロビジョンドIOPSボリュームの割り当て）によって、知らないうちに課金が発生してしまうケースが多発します [p.60, p.89, p.245]。
  • 対策: インフラを本格的に構築し始める「前」に請求アラートを設定しておくことで、意図しない課金が始まった瞬間（例：10ドルを突破した時点など）に即座に通知メールが届き、早期にリソースを削除（デプロイ解除）して金銭的・精神的被害を未然に防ぐことができます [p.245]。

4. 【このハンズオンが対応する試験論点】

• 試験論点①：ルートユーザーのセキュリティベストプラクティス
  • AWS認定試験（SAA-C03）では、「ルートユーザーの保護」に関するセキュリティポリシーが非常によく問われます。「ルートユーザーのアクセスキーを削除（または作成しない）すること」、「ルートユーザーには必ずMFAを設定し、日常的な操作には利用を制限すること」は、セキュアなインフラ設計における絶対的な正解パターンです [p.176, p.177]。
• 試験論点②：責任共有モデルにおける「セキュリティ・コスト」の自己管理
  • AWSのインフラ側の物理保護はAWSの責任ですが、「アカウント内部のセキュリティ設定（MFAの有効化）」や「コスト発生状況の監視（アラート設定）」は100%ユーザー側の管理責任に該当します [p.196, p.245]。この初期設定を行うことで、クラウドガバナンスにおける責任共有モデルの境界線を実体験として深く理解できます [p.196, p.245]。

本日のハンズオンを安全に完了させ、AWSの確かなセキュリティ設計を体感しましょう！ この初期セットアップを終えたら、次はAWSネットワークの最も基本の境界線となる「VPC（パブリック/プライベートサブネット、第2章）」の構築実習へとステップを進めましょうか？